Oracle Linux 4/5/6：firefox（ELSA-2011-0310）
critical Nessus プラグイン ID 68213
Language:
概要
リモート Oracle Linux ホストに、1 つ以上のセキュリティ更新がありません。説明
Red Hat セキュリティアドバイザリ 2011:0310 から：いくつかのセキュリティの問題と 1 つのバグを修正する更新済みの firefox パッケージが、Red Hat Enterprise Linux 4、5、6 で現在利用可能です。
Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。
Mozilla Firefox はオープンソースの Web ブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。
Firefox がエクステンションの HTML コンテンツのサニタイズ処理を行う方法で、欠陥が見つかりました。エクステンションが ParanoidFragmentSink クラスを使用する悪意あるコンテンツの読み込み、またはレンダリングを行う場合、コンテンツの安全な表示に失敗し、それにより Firefox が Firefox を実行しているユーザーの権限を利用した任意の JavaScript の実行を引き起こす可能性があります。(CVE-2010-1585)
Firefox がダイアログボックスを処理する方法で、欠陥が見つかりました。攻撃者がこの欠陥を利用して、非作動ボタンを含む空白のダイアログボックスを表示する、悪意ある Web ページを作成する可能性があります。ユーザーがダイアログボックスのウィンドウを閉じると、悪意ある Web ページの権限昇格を予期せず許可する可能性があります。(CVE-2011-0051)
不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページが、Firefox をクラッシュさせたり、 Firefox を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2011-0053、CVE-2011-0055、CVE-2011-0058、 CVE-2011-0062）
Firefox が無効な形式の JavaScript を処理する方法で、複数の欠陥が見つかりました。悪意のある JavaScript が含まれている Web サイトにより、 Firefox で Firefox を実行しているユーザーの権限で、その JavaScript が実行される可能性があります。（CVE-2011-0054、 CVE-2011-0056、CVE-2011-0057）
Firefox が無効な形式の JPEG 画像を処理する方法で、欠陥が見つかりました。悪意ある JPEG 画像を含む Web サイトにより、Firefox をクラッシュさせたり、Firefox を実行しているユーザーの権限を使用して任意のコードの実行を引き起こす可能性があります。(CVE-2011-0061)
Firefox が HTTP リクエストを実行するプラグインを処理する方法で、欠陥が見つかりました。プラグインが HTTP リクエストを実行し、サーバーが 307 リダイレクト応答を送信すると、プラグインは通知されずに HTTP リクエストは転送されました。転送されたリクエストにはカスタムヘッダーが含まれている可能性があり、クロスサイトリクエスト偽造を引き起こす可能性があります。
(CVE-2011-0059)
これらの欠陥の技術的な詳細については、Firefox 3.6.14 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。
この更新では以下のバグも修正されます。
* Red Hat Enterprise Linux 4 および 5 で「firefox -setDefaultBrowser」コマンド
を実行すると、次のような警告が表示されました：
libgnomevfs-WARNING **：非推奨の機能。MIME データベースにユーザーが加えた変更は現在サポートされていません。
この更新は、「setDefaultBrowser」オプションを無効にします。デフォルトの Web ブラウザの設定を行う Red Hat Enterprise Linux 4 ユーザーは、[アプリケーション] -> [設定] -> [詳細設定] -> [アプリケーションの設定]で設定を行うことができます。Red Hat Enterprise Linux 5 ユーザーは、[システム] -> [設定] -> [アプリケーションの設定]で設定を行うことができます。（BZ#463131、BZ#665031）
すべての Firefox ユーザーは、これらの問題を修正する Firefox バ―ジョン 3.6.14 を含む、更新済みのこれらのパッケージにアップグレードする必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。
ソリューション
影響を受ける firefox パッケージを更新してください。参考資料
https://oss.oracle.com/pipermail/el-errata/2011-March/001959.html
https://oss.oracle.com/pipermail/el-errata/2011-March/001967.html
https://oss.oracle.com/pipermail/el-errata/2011-March/001968.html
プラグインの詳細
深刻度: Critical
ID: 68213
ファイル名: oraclelinux_ELSA-2011-0310.nasl
バージョン: 1.9
タイプ: local
エージェント: unix
公開日: 2013/7/12
更新日: 2021/1/14
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Critical
Base Score: 10
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
脆弱性情報
CPE: p-cpe:/a:oracle:linux:firefox, p-cpe:/a:oracle:linux:xulrunner, p-cpe:/a:oracle:linux:xulrunner-devel, cpe:/o:oracle:linux:4, cpe:/o:oracle:linux:5, cpe:/o:oracle:linux:6
必要な KB アイテム: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list
パッチ公開日: 2011/3/3
脆弱性公開日: 2010/4/28
参照情報
CVE: CVE-2010-1585, CVE-2011-0051, CVE-2011-0053, CVE-2011-0054, CVE-2011-0055, CVE-2011-0056, CVE-2011-0057, CVE-2011-0058, CVE-2011-0059, CVE-2011-0061, CVE-2011-0062
RHSA: 2011:0310